Provvedimenti sanzionatori del Garante per la protezione dei dati personalimedium
Recupero crediti, il Garante sanziona due volte: chi affida l'incarico e chi lo esegue
Un debitore segnala che, per contattarlo, una società di recupero crediti ha usato un numero di cellulare a lui intestato ma non più nella sua disponibilità, e chiede da dove sia arrivato. Da quella singola segnalazione il Garante privacy arriva a due sanzioni: 50.000 euro alla società titolare del trattamento e 30.000 alla società incaricata del recupero, nel ruolo di responsabile. Il messaggio è il più importante che il GDPR contenga in materia di appalti: delegare l'attività non delega la responsabilità, e la vigilanza sul fornitore deve essere periodica, documentata e verificabile.
Una domanda semplice, una risposta che non c'era
La vicenda comincia con una segnalazione tutt'altro che esotica. Una persona viene contattata nell'ambito di un'attività di recupero crediti su un numero di cellulare a lei intestato ma non più nella sua disponibilità. Si lamenta delle modalità con cui i suoi dati sono stati trattati e fa una domanda che chiunque farebbe: da dove avete preso questo numero?
Il Garante per la protezione dei dati personali apre l'istruttoria e la conclude con due provvedimenti sanzionatori: 50.000 euro alla società titolare del trattamento e 30.000 euro alla società incaricata del recupero del credito, destinataria dei dati del debitore trasmessi dal titolare, nel ruolo di responsabile del trattamento.
Due sanzioni per una sola segnalazione. È il dettaglio da cui parte tutto il ragionamento.
Perché due, e non una
Nel GDPR il titolare decide finalità e mezzi del trattamento; il responsabile tratta i dati per conto del titolare, sulla base di un contratto e di istruzioni documentate (è l'articolo 28). Quando un'azienda affida a una società esterna il recupero dei propri crediti, quella società non diventa padrona dei dati: li tratta per conto di chi glieli ha dati, dentro un perimetro definito.
Il punto — e qui il provvedimento è molto chiaro — è che quel perimetro non si autosorveglia.
- 01Il titolaredeve effettuare controlli periodici, documentati e verificabili sulle attività affidate
- 02Il responsabiledeve adottare misure che diano al titolare un quadro esatto e aggiornato dei dati trattati
- 03Il debitorefa una domanda, e il sistema deve saper rispondere
Dall'istruttoria è emerso che la società titolare non aveva vigilato adeguatamente sulle attività della società responsabile né sulle istruzioni impartite. E che la società responsabile non aveva fornito al titolare un quadro aggiornato delle informazioni raccolte durante l'incarico, né lo aveva informato del fatto che il debitore aveva chiesto di conoscere la provenienza del numero contattato.
Detto altrimenti: il titolare non guardava, il responsabile non raccontava. Nessuno dei due, preso singolarmente, aveva commesso un abuso spettacolare. Insieme avevano costruito un sistema in cui a una domanda legittima non poteva esserci risposta.
La frase che vale come regola
La formulazione del Garante merita di essere letta come una regola operativa, perché è scritta apposta per esserlo.
Nelle attività di recupero crediti il titolare deve effettuare controlli periodici, documentati e verificabili per monitorare, sotto il profilo della protezione dei dati personali, le attività affidate a società terze responsabili. Queste ultime, a loro volta, devono adottare misure tecniche e organizzative che mettano a disposizione del titolare un quadro esatto e aggiornato delle informazioni effettivamente raccolte e trattate per gestire la posizione del debitore.
Le tre parole che fanno la differenza sono periodici, documentati e verificabili. Non "una volta all'anno se capita", non "abbiamo fiducia nel fornitore", non "c'è una clausola nel contratto". Un controllo che non lascia traccia, nel linguaggio del GDPR, è un controllo che non c'è: il principio di responsabilizzazione chiede di dimostrare la conformità, non di affermarla.
Cosa portarsi a casa, se si gestiscono fornitori
Questo provvedimento non riguarda solo il recupero crediti. Riguarda chiunque affidi a terzi un trattamento di dati personali — un call center, una società di logistica, un fornitore di servizi informatici, un'agenzia di marketing.
Le domande da farsi sono poche e scomode. Quando è stata l'ultima volta che avete verificato cosa tratta davvero il vostro fornitore, e non cosa dice il contratto che dovrebbe trattare? Esiste da qualche parte un documento che registra quella verifica, con una data? Se un interessato vi chiedesse domani da dove viene un suo dato in mano al fornitore, sapreste rispondere in tempi ragionevoli, o dovreste chiederlo a lui e sperare che lo sappia? E il vostro contratto prevede che il fornitore vi informi delle richieste che riceve dagli interessati, oppure lascia che le gestisca da solo senza dirvi nulla?
Nel determinare l'importo delle sanzioni l'Autorità ha tenuto conto sia della gravità delle violazioni sia delle iniziative assunte dalle due società per prevenire il ripetersi di situazioni analoghe: le misure correttive contano, e contano di più se arrivano prima della sanzione.
Un'ultima nota, doverosa
I due provvedimenti sono resi noti nella newsletter del Garante del 16 luglio 2026, che non indica pubblicamente la denominazione delle società coinvolte: questo dossier riporta i ruoli e gli importi come pubblicati dall'Autorità, senza attribuzioni ulteriori. Chi volesse leggere le motivazioni per esteso trova i due documenti collegati in testa alla pagina. E vale la pena ricordare che una sanzione al responsabile del trattamento non riduce quella al titolare: nel GDPR le due responsabilità sono autonome, e questa vicenda ne è la dimostrazione in forma tascabile.
